Wer haftet, wenn die Recruiting-KI daneben liegt?
Stell dir vor, ein abgelehnter Kandidat klagt. Nicht wegen der Absage an sich, sondern wegen der Art, wie sie zustande kam: Ein Vorauswahl-System hat seine Bewerbung nie an einen Menschen weitergereicht. Vor Gericht liegt dann eine unangenehm einfache Frage auf dem Tisch. Wer hat entschieden, dieses System einzusetzen? Und was hat diese Person getan, bevor sie es freigegeben hat?
Die Antwort "Das war der Algorithmus" existiert juristisch nicht. Sie existiert auch nicht in der Variante "Das macht unsere IT" oder "Der Anbieter hat uns versichert, das Modell sei geprüft". Zwei Anwälte von KPMG Law haben das kürzlich in einem Interview mit Haufe sehr trocken formuliert: Die Verantwortung für unternehmerische Entscheidungen bleibt beim Vorstand, nicht bei der KI. Die Haltung "die IT regelt das schon" sei gefährlich.
Das ist keine Compliance-Fussnote. Das ist der Kern der Sache – und im Gegensatz zur Dauerdebatte über verschobene EU-AI-Act-Fristen gilt es bereits heute.
Genau deshalb geht es hier nicht um Fristen, Risikoklassen und Übergangsregeln. Darum ging es in früheren Beiträgen. Hier geht es um die unmittelbar praktische Frage: Wer steht mit seinem Namen unter dem Einsatz einer Vorauswahl-KI, und was muss diese Person vorlegen können, wenn jemand nachfragt?
Die Regel, die eigentlich schützen soll
Wer eine Kapitalgesellschaft leitet, haftet nicht für jede Fehlentscheidung. Dafür gibt es die Business Judgment Rule, in Deutschland verankert in § 93 Abs. 1 Satz 2 AktG, sinngemäss übertragen auch auf Geschäftsführende nach § 43 GmbHG. Sie funktioniert wie ein Schutzschirm: Wer eine unternehmerische Entscheidung trifft und dabei vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln, haftet nicht – auch wenn die Entscheidung sich später als teurer Irrtum entpuppt.
Zwei Worte tragen die ganze Last: angemessene Information. Genau dort wird es beim KI-Einsatz interessant.
Denn eine KI liefert keine Information im Sinne eines Gutachtens. Sie liefert eine Ausgabe. Die kann brillant sein, sie kann halluziniert sein, sie kann auf Quellen beruhen, die niemand nachvollziehen kann. Ein menschlicher Sachverständiger schuldet Fachkunde, Unabhängigkeit und Offenlegung seiner Grundlagen. Ein Modell schuldet gar nichts. Sabrina Riesenbeck von KPMG Law bringt das Problem auf den Punkt: Wenn Entscheidungen wesentlich auf einer KI-Analyse beruhen, fehlen strukturell genau jene menschlichen Komponenten, an die die Business Judgment Rule anknüpft.
Der Schutzschirm klappt also nicht automatisch auf, nur weil ein Tool im Spiel war. Er klappt auf, wenn nachweisbar ist, dass ein Mensch das Ergebnis eigenständig gewürdigt hat.
Der Haken auf der anderen Seite
Jetzt kommt die Wendung, die viele überrascht. Es ist nicht so, dass das Nichtnutzen von KI die sichere Seite wäre. KPMG Law verweist auf eine BGH-Linie, nach der Leitungsorgane verfügbare Informationsquellen umfassend ausschöpfen müssen. Wenn ein Unternehmen KI-Systeme etabliert hat und diese in einer zeitkritischen Lage bewusst ignoriert werden, kann auch das eine Pflichtverletzung sein.
Man steht also nicht vor der Wahl "KI oder kein Risiko". Man steht vor der Wahl "KI mit dokumentiertem Verfahren" oder "Risiko in beide Richtungen".
Übersetzt ins Recruiting
Vorauswahl, Ranking, Matching-Scores, automatisierte Absagen: Das sind keine Randbereiche. Der EU AI Act stuft KI zur Auswahl und Bewertung von Bewerbenden als Hochrisiko ein, und für Betreiber – also die Unternehmen, die das Tool einsetzen, nicht die Hersteller – hält Artikel 26 eine Liste bereit, die sich wie ein Governance-Handbuch liest.
Menschliche Aufsicht muss Personen übertragen werden, die tatsächlich die nötige Kompetenz, Schulung und Befugnis haben. Die Betonung liegt auf Befugnis: Eine Recruiterin, die einen Score anzweifelt, aber nichts daran ändern darf, ist keine Aufsicht, sondern Dekoration. Eingabedaten müssen relevant und hinreichend repräsentativ sein, soweit man sie kontrolliert. Der Betrieb muss überwacht, Verdachtsfälle müssen dem Anbieter und der Marktaufsicht gemeldet werden. Automatisch erzeugte Logs sind mindestens sechs Monate aufzubewahren. Beschäftigte und ihre Vertretung sind vor dem Einsatz zu informieren. Und die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kommt obendrauf.
Sechs Monate Logs. Das klingt nach IT-Betrieb. In Wahrheit ist es die Beweismittelsammlung für den Tag, an dem jemand fragt, warum diese Bewerbung nie bei einem Menschen ankam. Und weil im Recruiting ohnehin die Beweislastregeln des AGG mitlaufen – wer Indizien für eine Benachteiligung vorträgt, zwingt den Arbeitgeber zum Gegenbeweis –, ist ein lückenhaftes Protokoll dort besonders unangenehm. Ohne Aufzeichnung gibt es nichts zu entlasten.
"Aber der Anbieter haftet doch"
Diese Hoffnung ist verständlich und hält der Realität nicht stand. Im US-Verfahren Mobley gegen Workday hat das zuständige Gericht im März 2026 klargemacht, dass sich ein Arbeitgeber der Haftung nicht dadurch entziehen kann, dass er klassische Arbeitgeberfunktionen an einen Dritten delegiert. Der Fall läuft als Collective Action für Bewerbende ab 40; in den Gerichtsunterlagen ist von rund 1,1 Milliarden über die Plattform abgelehnten Bewerbungen die Rede.
Das ist US-Recht und nicht eins zu eins übertragbar. Die dahinterliegende Logik aber schon: Wer die Auswahlentscheidung auslagert, lagert die Verantwortung dafür nicht mit aus. Im deutschen Arbeitsrecht zeigt sich derselbe Mechanismus an anderer Stelle – der Arbeitgeber trägt das Organisationsrisiko, und Beschäftigte, die ein Tool bedienen, sind durch die abgestufte Arbeitnehmerhaftung weitgehend geschützt. Bei leichter Fahrlässigkeit haften sie gar nicht. Nach oben, Richtung Leitungsebene, wird die Luft dagegen dünner.
Die Lücke, die die Zahlen zeigen
Wie gut sind Unternehmen darauf vorbereitet? Mässig. Eine Red-Hat-Erhebung von Censuswide unter 500 IT-Entscheidenden in Europa (davon 100 in Deutschland, Mai 2026) fand nur 30 Prozent mit ausgereiften Governance-Strukturen für agentische KI. 29 Prozent hatten Regelwerke mit Lücken, 27 Prozent nur Grundlegendes. Nicht einmal jedes zweite Unternehmen hatte einen vollständigen Überblick darüber, wo die eigenen Daten verarbeitet werden.
Im HR-Bereich klafft dieselbe Lücke. Der Gallup HR Report Deutschland 2026 kommt auf 81 Prozent der HR-Mitarbeitenden, die KI-Tools im Alltag nutzen – während nur vier Prozent der Fachkräfte die Belegschaft für ausreichend vorbereitet halten.
Nutzung 81, Vorbereitung 4. Zwischen diesen beiden Zahlen liegt das Haftungsproblem.
Vier Dokumente, die im Ernstfall zählen
Governance klingt nach Projektplan. Praktisch reduziert es sich auf eine überschaubare Menge Papier, die man entweder hat oder nicht.
Die Auswahlbegründung
Warum dieses Tool und nicht ein anderes? Welche Alternativen wurden angesehen, welche Kriterien angelegt, welche Auskünfte hat der Anbieter zu Trainingsdaten und Validierung gegeben? Ein Satz im Beschaffungsprotokoll reicht nicht, zwei Seiten reichen völlig. Hilfreich ist eine kleine Standardfrage an jeden Anbieter, schriftlich beantwortet: Womit wurde das Modell trainiert, gegen welche Population wurde es validiert, wann zuletzt, und was passiert bei einem Modell-Update? Wer darauf keine Antwort bekommt, hat bereits ein Ergebnis – nur eben ein unangenehmes.
Der Freigabepfad
Wer hat den Produktivbetrieb freigegeben – namentlich, mit Datum? Wer durfte mitreden, wer hatte ein Veto? Der Betriebsrat ist bei KI-gestützten Systemen nach § 87 Abs. 1 Nr. 6 BetrVG in der Regel mitbestimmungspflichtig; eine Betriebsvereinbarung ist kein Hindernis, sondern der beste Nachweis, dass ein Verfahren existiert.
Das Prüfprotokoll
Wie wird die Ausgabe überprüft, von wem, in welcher Stichprobe? KPMG Law empfiehlt für die Organebene, Prompts und Ergebnisse als PDF zu sichern. Im Recruiting entspricht das einer regelmässigen Stichprobenprüfung: Wie viele automatisch aussortierte Profile hat ein Mensch nachgesehen, was kam dabei heraus?
Der Eskalationsweg
Was passiert, wenn eine Recruiterin ein Ergebnis für falsch hält? Wer entscheidet dann, in welcher Frist, mit welcher Dokumentation? Ohne definierten Weg zurück gibt es keine wirksame menschliche Aufsicht, sondern nur einen Menschen daneben.
Und in der Schweiz?
Der EU AI Act gilt hier nicht direkt – wohl aber für Schweizer Unternehmen mit Bewerbenden oder Tochtergesellschaften in der EU. Unabhängig davon greift die Verantwortlichkeit des Verwaltungsrats nach Art. 754 OR mit derselben Grundmechanik: Sorgfaltspflicht, angemessene Information, Nachweisbarkeit. Dazu kommt Art. 21 revDSG, der bei automatisierten Einzelentscheidungen mit erheblichen Folgen Informations- und Anhörungspflichten auslöst. Eine vollautomatisierte Absage ohne Möglichkeit, den menschlichen Blick zu verlangen, ist auch hier heikel.
Die eigentliche Erkenntnis
Die Debatte über KI im Recruiting dreht sich meistens um Effizienz, manchmal um Bias, gelegentlich um Fristen. Die Haftungsfrage ist unauffälliger und wird trotzdem zuerst relevant – weil sie keine Übergangsfrist kennt.
Sie ist ausserdem die einzige, die auch dann noch da ist, wenn ein Tool längst abgelöst wurde. Verträge laufen aus, Anbieter verschwinden vom Markt, Modelle werden ersetzt – die Frage, wer damals freigegeben hat, bleibt.
Der gute Teil daran: Der Aufwand ist kalkulierbar. Vier Dokumente, ein benannter Verantwortlicher, ein funktionierender Eskalationsweg, Logs, die man aufhebt. Das ist keine Digitalisierungsoffensive, das ist ein Nachmittag mit dem Rechtsbereich und ein wiederkehrender Termin im Kalender.
Und es beantwortet die Frage, die im Ernstfall gestellt wird, bevor sie gestellt wird.
Quellen
Transparenzhinweis zur Nutzung von KI
Bei der Erstellung dieses Beitrags wurden Werkzeuge auf Basis künstlicher Intelligenz unterstützend eingesetzt. Sie dienen insbesondere der Recherche und Strukturierung von Informationen, sprachlichen und grammatikalischen Überarbeitung, Übersetzung sowie teilweise der Erstellung oder Bearbeitung von Illustrationen und Bildmaterial.
Konzeption, inhaltliche Aussagen, Bewertungen und Schlussfolgerungen stammen vom Autor und spiegeln dessen persönliche Gedanken, berufliche Erfahrungen und Überzeugungen wider. Sämtliche Inhalte werden vor der Veröffentlichung redaktionell geprüft und verantwortet.
Beiträge auf dieser Website werden nicht automatisiert durch KI erstellt oder veröffentlicht. KI wird als unterstützendes Werkzeug eingesetzt; die inhaltliche und redaktionelle Verantwortung verbleibt vollständig beim Autor.
Kommentare